Bảo vệ dữ liệu cá nhân trẻ em ở trường mầm non theo Luật 91/2025

Dữ liệu cá nhân trẻ em ở trường mầm non gồm những gì?

Gần như mọi thông tin trường mầm non ghi nhận về một bé đều là dữ liệu cá nhân, vì Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 định nghĩa dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể (khoản 1 Điều 2). Luật có hiệu lực từ 01/01/2026 và trẻ em được bảo vệ theo Điều 24, với cha mẹ hoặc người đại diện theo pháp luật thay mặt bé thực hiện quyền.

Nghị định 356/2025/NĐ-CP chia dữ liệu thành hai nhóm. Bảng dưới đây xếp các loại dữ liệu thường gặp ở trường mầm non theo danh mục tại Điều 3 và Điều 4 của Nghị định.

Đồng ý của phụ huynh: ai ký, ký cho việc gì

Theo khoản 2 Điều 24 Luật 91/2025, với trẻ em, người đại diện theo pháp luật (thường là cha mẹ) thay mặt trẻ thực hiện các quyền của chủ thể dữ liệu. Riêng việc xử lý dữ liệu nhằm công bố, tiết lộ thông tin về đời sống riêng tư, bí mật cá nhân của trẻ từ đủ 07 tuổi trở lên thì cần sự đồng ý của cả trẻ và người đại diện. Mốc 7 tuổi này trùng với Luật Trẻ em 2016: khoản 11 Điều 6 cấm công bố, tiết lộ thông tin về đời sống riêng tư, bí mật cá nhân của trẻ mà không được sự đồng ý của trẻ từ đủ 07 tuổi và của cha, mẹ, người giám hộ.

Trẻ mầm non hầu hết dưới 6 tuổi, nên trên thực tế trường cần sự đồng ý của cha mẹ hoặc người giám hộ. Sự đồng ý này phải đáp ứng Điều 9 Luật: tự nguyện, biết rõ loại dữ liệu, mục đích, bên xử lý và quyền của mình; đồng ý theo từng mục đích; im lặng không phải là đồng ý. Điều 6 Nghị định 356 chấp nhận đồng ý bằng văn bản, tin nhắn, email hoặc trên ứng dụng có cơ chế xin đồng ý, miễn là kiểm chứng được và nhà trường lưu lại.

Lưu ý: hồ sơ nhập học là một hợp đồng giữa phụ huynh và trường. Một số hoạt động cần thiết để thực hiện thỏa thuận này có thể không cần đồng ý riêng (điểm d khoản 1 Điều 19 Luật), nhưng các mục đích ngoài phạm vi đó, như đăng ảnh quảng bá, cần đồng ý riêng. Nên hỏi luật sư để xác định ranh giới cho trường của bạn.

• Tách phiếu đồng ý theo mục đích: vận hành và chăm sóc (hồ sơ, sức khỏe, điểm danh); chia sẻ ảnh trong kênh lớp kín; đăng ảnh công khai (fanpage, website, quảng cáo); camera/xem trực tuyến; chia sẻ với bên thứ ba (bảo hiểm, đơn vị khám sức khỏe).
• Không đánh dấu sẵn; phụ huynh chọn từng ô.
• Ghi rõ dữ liệu sức khỏe và sinh trắc học là dữ liệu nhạy cảm (khoản 4 Điều 6 Nghị định 356).
• Lưu bản đồng ý kèm ngày và phiên bản văn bản; cập nhật khi đổi mục đích.
• Có cách rút lại đồng ý dễ dàng. Khi phụ huynh rút lại, trường phải ngừng xử lý cho mục đích đó (khoản 3 Điều 24 Luật).

Đăng ảnh trẻ em lên Facebook, fanpage, nhóm Zalo

Đăng ảnh bé lên fanpage hay website của trường là công khai dữ liệu cá nhân. Điều 16 Luật 91/2025 chỉ cho phép công khai khi có đồng ý của chủ thể, theo quy định pháp luật hoặc để thực hiện nghĩa vụ hợp đồng, và phạm vi công khai phải phù hợp với mục đích. Điều 32 Bộ luật Dân sự 2015 cũng yêu cầu việc sử dụng hình ảnh của cá nhân phải được người đó đồng ý. Theo Điều 33 Nghị định 56/2017/NĐ-CP hướng dẫn Luật Trẻ em, hình ảnh cá nhân, tên tuổi, thông tin về trường, lớp của trẻ thuộc thông tin bí mật đời sống riêng tư, bí mật cá nhân của trẻ em.

Nhóm Zalo hay Facebook của lớp không phải là "vô hại" chỉ vì nhóm kín: ảnh vẫn được chuyển giao cho mọi thành viên, có thể bị tải về và lan ra ngoài. Ảnh chụp chung nhiều bé là dữ liệu của nhiều chủ thể cùng lúc.

• Chỉ đăng công khai ảnh của những bé có đồng ý cho mục đích "công khai"; với bé không đồng ý, che mặt hoặc không dùng ảnh.
• Không ghi kèm họ tên đầy đủ, ngày sinh, lớp cụ thể dưới ảnh công khai.
• Không đăng ảnh bé khi đang thay đồ, tắm, khóc, bị thương, hay tình huống ảnh hưởng đến danh dự, nhân phẩm.
• Trong nhóm lớp: chỉ phụ huynh của lớp; có quy tắc nhóm cấm chia sẻ ảnh bé khác ra ngoài; định kỳ rà thành viên khi bé chuyển lớp.
• Giáo viên không lưu ảnh trẻ trên điện thoại cá nhân lâu dài; dùng thiết bị hoặc kho lưu trữ của trường.
• Gỡ ảnh khi phụ huynh yêu cầu. Theo Nghị định 356 (khoản 4 Điều 5), yêu cầu xóa dữ liệu phải được phản hồi trong 02 ngày làm việc và thực hiện trong 20 ngày.

Camera và livestream trong lớp học mầm non

Hình ảnh từ camera là dữ liệu cá nhân của trẻ, giáo viên và phụ huynh xuất hiện trong khung hình. Điều 32 Luật 91/2025 cho phép ghi hình tại nơi công cộng, hoạt động công cộng không cần đồng ý trong một số trường hợp, nhưng lớp học là không gian có kiểm soát truy cập và chưa có hướng dẫn chính thức xếp lớp học vào "nơi công cộng". Cách an toàn là xử lý camera như một mục đích riêng: thông báo rõ, có đồng ý của phụ huynh (và thỏa thuận với giáo viên), giới hạn quyền xem.

Nếu dùng camera hoặc phần mềm nhận diện khuôn mặt, dữ liệu là sinh trắc học, thuộc nhóm nhạy cảm. Nếu có sự cố lộ dữ liệu sinh trắc học hoặc vị trí, bên kiểm soát phải thông báo cho phụ huynh trong 72 giờ (Điều 29 Nghị định 356) và cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an.

Lưu ý thêm về AI: Danh mục hệ thống AI rủi ro cao ban hành kèm Quyết định 33/2026/QĐ-TTg (hiệu lực 15/8/2026) có mục "hệ thống có sử dụng AI để giám sát, phân tích hành vi người học", áp dụng khi hệ thống dùng dữ liệu sinh trắc học (nhận diện khuôn mặt, ánh mắt, hành vi, cảm xúc) hoặc tạo cảnh báo tự động tần suất cao về trạng thái chú ý, biểu cảm của người học. Nếu camera hay phần mềm của trường có các tính năng này, cần hỏi nhà cung cấp về phân loại rủi ro theo Luật Trí tuệ nhân tạo; xem thêm Luật Trí tuệ nhân tạo 2025.

• Không đặt camera ở khu vệ sinh, thay đồ.
• Dán thông báo đang ghi hình tại cửa lớp (tinh thần khoản 2 Điều 32 Luật).
• Xem trực tuyến: mỗi phụ huynh một tài khoản riêng, có xác thực, không chia sẻ đường link công khai; ghi log ai xem lúc nào.
• Đặt thời hạn lưu bản ghi phù hợp mục đích và tự động xóa khi hết hạn (khoản 4 Điều 32 Luật đặt nguyên tắc này cho ghi hình nơi công cộng).
• Mã hóa đường truyền; nếu lưu trên đám mây, dữ liệu phải được mã hóa khi lưu và khi truyền (khoản 4 Điều 12 Nghị định 356).

Phần mềm, ứng dụng giáo dục và Điều 21 Nghị định 356

Nhiều trường dùng phần mềm quản lý và ứng dụng liên lạc phụ huynh. Khi đó, nhà trường thường là bên kiểm soát dữ liệu (quyết định mục đích), còn nhà cung cấp phần mềm là bên xử lý theo hợp đồng. Điều 37 Luật yêu cầu bên kiểm soát chọn bên xử lý phù hợp và ghi rõ trách nhiệm trong hợp đồng; bên xử lý chỉ được nhận dữ liệu sau khi có hợp đồng.

Khoản 5 Điều 21 Nghị định 356 liệt kê "dịch vụ thu thập, xử lý dữ liệu cá nhân qua ứng dụng, phần mềm giáo dục có yếu tố giám sát như điểm danh, ghi hình, chấm điểm hành vi, nhận diện cảm xúc" là một loại dịch vụ xử lý dữ liệu cá nhân. Tổ chức kinh doanh dịch vụ xử lý dữ liệu cá nhân phải đáp ứng điều kiện tại Điều 22 và được Bộ Công an cấp Giấy chứng nhận (Điều 24, 25 Nghị định 356). Khi chọn nhà cung cấp, trường nên hỏi trực tiếp về tình trạng tuân thủ quy định này và đề nghị nêu trong hợp đồng.

Công bố: EYC phát triển Early Years Circle, nền tảng vận hành cho giáo dục mầm non với bốn trải nghiệm Giáo viên, Gia đình, Quản trị và TV. Chúng tôi theo dõi sát các quy định nêu trong bài. Bảng dưới đây là tiêu chí chung, áp dụng cho bất kỳ nhà cung cấp nào. Xem thêm tiêu chí chọn phần mềm quản lý trường mầm non và ứng dụng kết nối phụ huynh.

Lưu trữ và xóa dữ liệu khi trẻ ra trường

Luật yêu cầu dữ liệu chỉ được lưu trong thời gian phù hợp với mục đích (Điều 3) và được xóa khi đã hoàn thành mục đích hoặc hết thời hạn lưu theo quy định (Điều 14). Việc xóa phải an toàn, chống khôi phục trái phép.

• Lập bảng thời hạn lưu cho từng loại: hồ sơ học sinh (theo quy định ngành giáo dục, nếu có), ảnh hoạt động, bản ghi camera, nhóm chat lớp.
• Khi bé chuyển trường hoặc tốt nghiệp: xóa khỏi nhóm lớp, thu hồi tài khoản phụ huynh, xóa ảnh không còn mục đích, bàn giao cho phụ huynh những gì họ muốn giữ.
• Đừng quên bản sao: ổ cứng giáo viên, điện thoại, bản sao lưu, tài khoản mạng xã hội cũ.
• Ghi biên bản xóa cho dữ liệu nhạy cảm (sức khỏe, sinh trắc học).

Đào tạo giáo viên và nhân viên

Phần lớn rủi ro đến từ thói quen hằng ngày: chụp ảnh bằng điện thoại cá nhân, gửi danh sách lớp qua nhóm chat, để lộ sổ sức khỏe. Luật yêu cầu tổ chức chỉ định bộ phận, nhân sự bảo vệ dữ liệu cá nhân hoặc thuê dịch vụ (khoản 2 Điều 33), trừ khi được miễn: hộ kinh doanh, doanh nghiệp siêu nhỏ được miễn; doanh nghiệp nhỏ và khởi nghiệp được lựa chọn trong 05 năm. Tuy nhiên miễn trừ không áp dụng nếu trực tiếp xử lý dữ liệu nhạy cảm (Điều 38 Luật, Điều 41 Nghị định 356); trường mầm non lưu thông tin sức khỏe của trẻ nên xem xét kỹ điểm này với luật sư.

• Buổi định hướng đầu năm học: dữ liệu nào là nhạy cảm, quy tắc chụp và đăng ảnh, cách trả lời phụ huynh hỏi về dữ liệu.
• Danh sách "được/không được" dán ở phòng giáo viên.
• Quy trình khi nghi ngờ lộ dữ liệu: báo ngay cho người phụ trách; trường cần báo cơ quan chuyên trách chậm nhất 72 giờ nếu thuộc trường hợp tại Điều 23 Luật.
• Ký cam kết bảo mật với nhân viên mới; thu hồi quyền truy cập khi nghỉ việc.